Bandeau cookies sur WordPress : guide de conformité CNIL

Choisir une CMP conforme pour WordPress

Plusieurs extensions permettent d'implémenter un bandeau cookies conforme sur WordPress : Complianz, Axeptio, Tarteaucitron.js et CookieYes sont parmi les plus utilisées en France. Chacune propose un mode de blocage préalable des scripts (script blocking) qui empêche le déclenchement de tout cookie de traçage — Google Analytics, Meta Pixel, LinkedIn Insight Tag — tant que l'utilisateur n'a pas accepté.

Le critère décisif n'est pas l'esthétique du bandeau mais son comportement technique : le refus doit être aussi simple que l'acceptation. La CNIL a rappelé dans ses lignes directrices de 2020 que la présence d'un bouton "Tout accepter" sans équivalent "Tout refuser" au même niveau visuel constitue une non-conformité. Vérifiez ce point quel que soit l'outil retenu, et testez le comportement réel en mode navigation privée avec les DevTools du navigateur.

La durée de validité du consentement recueilli ne doit pas dépasser 13 mois. Passé ce délai, l'utilisateur doit être à nouveau sollicité. Les CMP mentionnées ci-dessus gèrent cette expiration automatiquement si elles sont correctement configurées.

Blocage des scripts et cookies exemptés

Le principe posé par la CNIL est clair : aucun cookie ou traceur non essentiel ne doit être déposé avant le consentement de l'utilisateur. Sur WordPress, cela suppose de désactiver le chargement natif des plugins analytiques (Google Analytics via plugin dédié, MonsterInsights, Site Kit by Google) et de les laisser piloter exclusivement par la CMP.

Certains cookies sont exemptés de consentement : les cookies strictement nécessaires au fonctionnement du site (panier d'achat, session d'authentification, préférences de langue) et les cookies de mesure d'audience anonymisée — sous conditions strictes de la CNIL (absence de partage avec des tiers, anonymisation réelle, périmètre limité à un seul éditeur). Un outil comme Matomo en mode cookieless peut être exempté ; Google Analytics ne l'est pas, sauf configuration très restrictive.

Politique cookies : contenu obligatoire

Votre politique cookies doit décrire pour chaque catégorie de traceurs : la finalité (mesure d'audience, personnalisation, publicité ciblée), le nom du cookie, son émetteur (votre site ou un tiers), et sa durée de vie. Une liste générique "nous utilisons des cookies" ne satisfait pas aux exigences d'information éclairée du RGPD.

Elle doit également expliquer comment l'utilisateur peut retirer son consentement à tout moment — aussi facilement qu'il l'a donné — et comment accéder à ses paramètres via la CMP. Un lien vers cette politique doit figurer dans le pied de page du site et dans le bandeau de consentement lui-même.